<?php

return [

    /*
    |--------------------------------------------------------------------------
    | HTTP Strict Transport Security
    |--------------------------------------------------------------------------
    |
    | Weist Browser an, die Domain für `max_age` Sekunden nur noch per HTTPS
    | aufzurufen. Wird nur auf HTTPS-Antworten gesetzt und standardmäßig nur
    | in Produktion. Bewusst ohne includeSubDomains und preload: beides
    | lässt sich kaum zurücknehmen und betrifft auch fremd betriebene
    | Subdomains.
    |
    */

    'hsts' => [
        'enabled' => (bool) env('SECURITY_HSTS', env('APP_ENV') === 'production'),
        'max_age' => (int) env('SECURITY_HSTS_MAX_AGE', 31536000),
    ],

];